Aleksander Ludynia ist Chief Security Officer bei der Shiji Group und verfügt über mehr als 15 Jahre Erfahrung im Bereich der Cybersicherheit. Wir haben Alex’ umfangreiches Wissen über die Cybersicherheit in Hotels in eine einfach zu befolgende Checkliste für Hoteliers gepackt, um sicherzustellen, dass ihre Daten und Systeme sicher sind. Die Hotel-Cybersicherheits-Checkliste kann hier kostenlos heruntergeladen werden:

Laden Sie die Checkliste herunter und folgen Sie diesem Leitfaden, um bewährte Verfahren für die Cybersicherheit in Hotels im Jahr 2023 umzusetzen.

LADEN SIE DIE PDF-CHECKLISTE HIER HERUNTER

Die Bedeutung der Cybersicherheit

Cybersicherheit ist für alle Unternehmen von größter Wichtigkeit, aber im Falle des Gastgewerbes ist die Situation ganz besonders. Hotels verfügen in der Regel über eine sehr große Menge an Daten, die bei einigen größeren Marken manchmal in die Hunderte von Millionen von Datensätzen geht. Und dies umfasst nicht nur Straftaten gegen Gästedaten, sondern auch gegen das Unternehmen selbst, wie z. B. der Diebstahl von Tarifinformationen, die zum Vorteil eines Konkurrenten verkauft werden können.

Es gibt verschiedene Risiken, aber die größten Vorfälle in der Branche betrafen Daten von Karteninhabern und den Verlust personenbezogener Daten, und wenn es sich um eine so große Datenbank handelt, können die Auswirkungen in den Medien und darüber hinaus für das Unternehmen verheerend sein. Es ist wichtiger denn je geworden, dieses wertvolle Informationsreservoir zu schützen, und Hotels sollten auf die Risiken achten, die die Integration von Technologie für ihren Betrieb mit sich bringt, auch wenn die Cybersicherheit nicht zu ihren Kernaufgaben gehört.

Die Kronjuwelen der Hoteldaten

Die große Menge an Kundendaten, die von Hotels verarbeitet wird, ist ihr Kronjuwel. Ob es sich nun um Daten handelt, die zum Gelddiebstahl verwendet werden können, wie Zahlungs- oder Kreditkartendaten, oder um persönliche Daten und Standortdaten, die für andere schändliche Zwecke verwendet werden können – Hotels haben täglich mit diesen beiden Arten von kritischen Kundeninformationen zu tun, die für Cyberkriminelle wertvoll sind. Darüber hinaus verwalten sie auch sensible Informationen über Tarife, die für Konkurrenten in der gleichen Branche von Interesse sein können.

Bedrohungsakteure

Es gibt mehrere Agenten, die die “Bösewichte” sind, die die Sicherheit eines Hotels bedrohen. Die erste von ihnen sind Cyber-Banden, die unter anderem versuchen können, die Daten von Karteninhabern zu stehlen oder Ransomware-Angriffe zu verwenden – Software, die die Systeme eines Unternehmens “entführt” und eine Lösegeldzahlung fordert, um die Störung zu beenden oder im Austausch dafür, dass die Daten nicht exfiltriert werden.

Zweitens gibt es staatlich geförderte Angriffe. Hotels verfügen über Informationen über bestimmte Personen von Interesse und deren Aufenthaltsort sowie über deren Partner oder andere wichtige Personen, mit denen sie sich treffen, was für Regierungen von Nutzen sein kann.

Schließlich dürfen wir nicht die Konkurrenten vergessen, die möglicherweise an Informationen über die Tarife anderer Ketten interessiert sind, um ihre eigenen Geschäfte zu fördern, und auch diese Art von Daten muss sorgfältig geschützt werden.

Vor diesem Hintergrund habe ich diese Checkliste mit Schritten entwickelt, die Sie bei der Entwicklung eines Aktionsplans für die Cybersicherheit in Ihrem Hotel berücksichtigen sollten, um sicherzustellen, dass Sie die Risiken für Ihre Kunden, Ihr Eigentum und Ihren Ruf angemessen steuern.

Die Hotel-Cybersicherheits-Checkliste

Zuweisung von Rollen für Cybersecurity- und Datenschutzspezialisten

Hotels müssen diese Funktionen besetzen, auch wenn die Technologie nicht ihr Kerngeschäft ist. Diese Personen leiten die Bemühungen des übrigen Personals, denn Sicherheit ist die Aufgabe aller.

Identifizierung und Bewertung von Risiken für alle sensiblen Daten

Führen Sie Audits aller in Ihrem Hotel verarbeiteten Daten durch, die als sensibel eingestuft werden können, um Ihr Risikoprofil zu verstehen, einschließlich der Systeme, die zur Verarbeitung und Speicherung von Daten verwendet werden, und erstellen Sie dann eine Karte des Datenflusses, um alle Stellen zu identifizieren, an denen Informationen sein können.

Gemeinsame Punkte sind Altsysteme, die nur schwer gegen neue Bedrohungen zu schützen sind und sich nur schwer mit neuen Lösungen verbinden lassen; unerfahrene oder befristet beschäftigte Mitarbeiter, die sich nicht an die Sicherheitsprotokolle halten und so wissentlich oder unwissentlich Viren in das Netz einschleusen können; schlechte Angewohnheiten, wie z. B. Mitarbeiter, die in der Eile Kreditkartennummern auf Zettel schreiben oder Passwörter an ungeschützten Orten aufbewahren; und Systeme von Drittanbietern mit über die Hotels Informationen wie Zahlungen, Reservierungen, Rechnungen, Türschlösser, TV-Zugang und viele andere Arten von Anbietern austauschen, die für den täglichen Betrieb erforderlich sind.

Listen Sie anschließend die Bedrohungen und Risiken auf, die sich auf die Daten auswirken können, und berücksichtigen Sie dabei die möglichen Bedrohungsakteure und Angriffsmethoden, für die Ihr System anfällig sein könnte.

Schutz der Daten und der wichtigsten Systeme

Wenn alle Daten, Systeme und möglichen Bedrohungen identifiziert sind, ist es an der Zeit, sie zu schützen – insbesondere Ihre Kronjuwelen. Wenn Sie wissen, was geschützt werden muss, können Sie eine geeignete Sicherheitslösung und eine ideale Sicherheitskonfiguration wählen, um alle Ihre wichtigen Systeme zu schützen.

Verwaltung von Zugang und Schwachstellen

Vergewissern Sie sich, dass Sie jeder Abteilung oder Rolle die entsprechenden Zugriffsrechte gewähren, indem Sie die Zugriffsrechte verwalten und überwachen. Kontrollieren Sie, wer aus welchen Gründen Zugang zu welcher Art von Informationen hat, damit jede Person nur das sehen kann, was sie zur Erfüllung ihrer Aufgaben benötigt.

Oft haben es Cyberkriminelle nicht auf bestimmte Unternehmen abgesehen, sondern sind einfach nur opportunistisch und nutzen Bots, um Schwachstellen zu finden, die sie ausnutzen können. Schwachstellenmanagement und grundlegende Cybersicherheitshygiene sind der Schlüssel, um zu verhindern, dass diese Kriminellen die niedrig hängende Frucht sind.

Überwachung

Die regelmäßige Überwachung des Zugriffs hilft dabei, Verstöße oder undichte Stellen frühzeitig zu erkennen, und gibt Ihnen Zeit, darauf zu reagieren. Verfolgen Sie den Datenverkehr von Benutzern, Anwendungen und Netzwerken.

Schutz vor Malware einrichten

Viele Unternehmen glauben, dass sie mit einer Antivirenlösung sicher sind, aber Malware ist sehr gefährlich. Es gilt, die beste Lösung auszuwählen, sie richtig zu konfigurieren und sicherzustellen, dass sie überall eingesetzt wird und tatsächlich effektiv ist.

Bereitstellung von Endpunktschutz

Endgeräte (z. B. mobile Geräte, Browser und Bürocomputer) sind in der Regel der erste Schritt bei den größten Cyberangriffen, da Kriminelle nur selten mit einem großen Angriff beginnen, z. B. mit einem direkten Angriff auf Server. Sie greifen lieber eine Person an, um sich Zugang zum Arbeitsplatz dieser Person zu verschaffen, und nutzen ihn dann als Zugangspunkt, um tiefer in das Unternehmen einzudringen. Die Überwachung des Netzwerkverkehrs an jedem Endpunkt ist von entscheidender Bedeutung, und wenn Sie Angriffe in einem sehr frühen Stadium erkennen, während sie sich noch am Endpunkt befinden, können Sie die meisten Angriffe stoppen.

Verwaltung von Altsystemen und Systemen Dritter

Ihre Systeme können mit denen von Drittanbietern oder Lieferanten interagieren, so dass es notwendig ist, diese Interaktion zu verwalten und ihre Sicherheit zu gewährleisten. In den letzten Jahren gab es häufig Vorfälle, in der Regel in großem Maßstab, bei denen die Systeme von Anbietern gehackt wurden, die dann Zugang zu den Daten anderer Unternehmen hatten. Altsysteme sind in der Regel anfälliger, da keine Sicherheits-Patches mehr veröffentlicht werden, was sie anfällig für moderne Angriffsformen macht.

Bewusstsein schaffen und auf das Schlimmste vorbereiten

Informieren Sie Ihre Mitarbeiter darüber, wie sie Phishing- und andere Angriffe von Cyberkriminellen erkennen können, um die Wahrscheinlichkeit zu verringern, dass einer von ihnen der Zugangspunkt ist. Es ist jedoch wichtig, Prozesse für das Management von Zwischenfällen einzuführen und regelmäßig zu verbessern: Es müssen Verfahren für den Fall eines Notfalls oder einer durch einen erfolgreichen Angriff verursachten Katastrophe vorhanden sein, d. h. es müssen ständig Backups erstellt und Wiederherstellungsprozesse eingerichtet werden.

Testen Sie Ihre Sicherheit

Und nicht zuletzt sollten Sie Ihre Sicherheit häufig testen. Führen Sie Penetrationstests durch, um Ihr Sicherheitsniveau zu überprüfen und sicherzustellen, dass es den Anforderungen entspricht. Dies kann durch Audits, technische Tests oder den Einsatz externer oder interner Penetrationstester geschehen, um die tatsächliche Sicherheit Ihrer Systeme zu überprüfen.